* 本文原创作者：bt0sea，本文属FreeBuf原创奖励计划，未经许可禁止转载

0×00、前言

WAF（Web Application Firewall）对于搞web渗透测试的甲方安全运维工程师、众测平台的白帽子、乙方web渗透工程师、搞黑产的blackhat是个并不陌生的web安全防护手段。在工作中或多或少涉及到这方面的相关知识，那么，从产品的角度上对WAF做竞品分析十分有必要，可以帮助用户更好的理解WAF产品功能，同时，也为WAF厂商指明了研发方向。以下站在安全产品经理的角度上，做的WAF竞品分析，包含：行业现状分析、产品功能分析、交互设计分析、运营及推广策略（偏重PR）。

0×01、行业现状分析

通过行业现状分析，我们可以更好的把握住市场趋势，研究WAF细分领域市场。分析的目标用户，来源于Top 24家互联网金融网站(融资规模大小)，原因是，WAF是这部分企业级客户在安全方面的刚性需求。

1.1、调研问卷题目：

（1）IT架构：公有云、IDC机房、自建机房。

（2）调查WAF部署形式：透明代理硬件形式、云WAF、反向代理集群形式、基于主机Agent部署、开源系统自建。

（3）目前你使用WAF的困惑：云WAF数据隐私保护问题、安装在主机上WAF应用程序性能是否影响正常业务、开源自建WAF规则维护成本高。

如果大家有时间，可以帮忙填写一下问卷调查，http://wj.qq.com/s/753888/308e

1.2、调研技术手段：

无论从技术上，还是商业上都是很难获取到ToB产品的企业数量，所以，从技术角度上讲，通过互联网抓取我们想要的数据，自己统计分析。

1.3、调研技术原理：

如何确认其WAF特征，我参考了 wafw00f、nmap、sqlmap有关识别WAF的脚本，编辑一个批量扫描的脚本。首先检查是否存在WAF，通过提交xss脚本，查看网站页面特征，如果返回页面异常，证明存在WAF。然后通过脚本判断对应的WAF类型，由于WAF特征也会被人为更改，所以，只能粗略评估部署率。

1.4、结果输出：

（1）WAF部署类型产品占有率

（2）WAF产品市场占有率

备注：详细的原始数据，可以联系文章作者获取。

1.5、结论：

当时看到这样的结论，我也很意外，不过可以看出以下趋势：

（1）重要的互联网金融网站一般不会开WAF阻断模式，除非购买公有云WAF产品。

（2）云WAF在互联网金融业务使用率蛮高。

（3）自建WAF也是互联网金融企业安全团队热衷去做的一件事情。

（4）商业集群WAF软件在崛起，它的直接竞争对手是自建WAF。

（5）只有有钱的主才会买硬件WAF，否则它将退出历史舞台。

（6）很少有企业在商业环境下使用类似**狗这样的免费WAF，不付费就代表着售后没有保证。

0×02、产品功能分析

2.1、产品功能对照表

由于手上资源有限，本章节只分析imperva、nsfocus WAF、天融信WAF产品功能。

从功能上看，上述3款产品都是基于正则表达式方式对Web威胁进行防护，针对未知web威胁防护，国内产品还是主要靠升级规则库的方式，国外主要靠威胁情报方式。但是目前基于正则表达式规则库的WAF产品很容易被绕过，建议使用新技术解决其问题。当然国内外厂商也在这方面做的很多工作，比如说imperva 动态特征创建，国内厂商的自学习功能。从功能测试看，国外动态特征创建要比国内的自学习功能强，因为国内的自学习主要是规定一段时间学习url提交的参数（string&number）但是imperva是一直在自学习，然后快速建立攻击模型。

2.2、WAF产品架构分析

以上三款产品都是以硬件形式部署到用户环境当中，随着公有云平台逐渐被用户接受，本次分析主要聚焦在软件集群形式的WAF架构和硬件WAF技术分析。

2.3、产品测评

0×03、产品交互分析

分析To B产品方面交互，其实比较难，因为本身用户就少，体验方面，其实用惯了就好。当然，伴随着SAAS平台的日益兴起，建议在易用方面增加相应的用户体验。

结论：可以看出产品交互设计方面国内厂商NB，因为国内用户一般都是技术小白。imperva我刚开始看的时候一头露水，要看产品文档才能理解为什么这样设计。显然，进入国内市场还需要在产品交互上多下功夫。

0×04、运营及推广策略

4.1、运营方面首先如何获得用户体验，这方面nsfocus做的比较好，采用google analytics。

4.2、推广方面

（1）百度指数

imperva 没有买百度指数…

（2）公众号

（3）微博号

* 本文原创作者：bt0sea，本文属FreeBuf原创奖励计划，未经许可禁止转载